Co naprawdę licencjonuje ustawa AB 1405
9 września gubernator Gavin Newsom podpisał ustawę AB 1405, napisaną przez deputowaną Rebecce Bauer-Kahan, wraz z ustawą siostrzaną SB 813 senatora Jerry'ego McNerneya. Obie ustawy powstały na tym samym posiedzeniu co nowe kalifornijskie przepisy o bezpieczeństwie dzieci wobec chatbotów-towarzyszy opartych na AI, ale pełnią inną rolę: rozstrzygają, kto w ogóle może nazywać się audytorem AI.
AB 1405 nakazuje stanowej Government Operations Agency utworzenie publicznego Rejestru Audytorów AI do 1 stycznia 2029 roku. Od tej daty zabronione będzie oferowanie, sprzedawanie lub przeprowadzanie objętego przepisami audytu AI bez ważnego stanowego numeru rejestracyjnego. Objęty przepisami audyt AI, zgodnie z tekstem samej ustawy, to audyt sprawdzający wewnętrzne kontrolę, procesy lub systemy, których system lub model AI używa do przestrzegania prawa Kalifornii. Każdy zarejestrowany audytor otrzymuje unikalny numer, który musi pojawiać się w każdej reklamie jego usług audytorskich.
Bauer-Kahan wprost wyjaśniła powód: "Nie możemy oczekiwać, że branża sama wystawi sobie ocenę; niezależni audytorzy są niezbędni, by zapewnić, że AI jest bezpieczne dla naszych społeczności i infrastruktury krytycznej."
Zasady niezależności, jakich nigdzie indziej nie spisano
Tekst ustawy idzie dalej niż samo wydawanie numerów rejestracyjnych. Zarejestrowany audytor nie może mieć relacji finansowej, biznesowej ani zatrudnieniowej z audytowaną firmą, która mogłaby zasadnie osłabić jego niezależność. Nie może oceniać własnej wcześniejszej pracy. Nie może szukać zatrudnienia w firmie, która audytuje, dopóki audyt trwa, i musi odczekać 12 miesięcy po odejściu od pracodawcy, zanim będzie mógł audytować tego samego pracodawcę.
Audytorzy muszą także chronić sygnalistów zgłaszających naruszenia, a agencja może cofnąć rejestrację i skierować sprawę do prokuratora generalnego, jeśli któraś z tych zasad zostanie złamana. Nic innego w regulacjach dotyczących AI nie brzmi w ten sposób. Brzmi to jak zasady niezależności spisane dla audytorów finansowych po aferze Enronu, zastosowane po raz pierwszy do tych, ktorzy sprawdzają, czy system AI robi to, czego wymaga prawo.
Żadnego obowiązku audytu. Obowiazek licencji owszem.
Oto część, która prawie wszystkie pierwsze nagłówki o tej ustawie zrozumiały źle: SB 813 wyjaśnia we własnym tekście, że żadną z dwóch ustaw nie nakłada na osobę, spółkę osobową ani spółkę kapitałową, która rozwija, wdraża lub obsługuje system AI, obowiązku zatrudnienia niezależnej organizacji weryfikacyjnej ani poddania się objętemu przepisami audytowi AI jako warunku działania w Kalifornii. Nie istnieje żaden obowiązek audytu. Być może nigdy nie powstanie. To, co istnieje teraz, to jedynie kwalifikacja, której ktoś potrzebowałby, gdyby klient, sąd lub przyszła ustawa kiedykolwiek zażądały audytu.
SB 813 wyznacza własny, wcześniejszy termin: Government Operations Agency musi opublikować kryteria wyznaczania Niezależnych Organizacji Weryfikacyjnych, bardziej wyspecjalizowanego poziomu zarejestrowanego audytora, do 1 stycznia 2028 roku, czyli cały rok przed publicznym rejestrem z ustawy AB 1405. Kalifornia buduje infrastrukturę licencjonowania i niezależności, zanim napisze jakikolwiek przepis, który uczyniłby tę licencję istotną dla każdej firmy, a nie tylko dla tych, które wybierają zatrudnienie audytora. Jako prawo UE, AI Act obowiązuje także bezpośrednio w Polsce, choć podobny kalifornijski rejestr jeszcze nie istnieje.
| Pytanie | Kalifornia (AB 1405 / SB 813) | AI Act UE |
|---|---|---|
| Kto musi być audytowany niezależnie | Nikt, według prawa, na dzień tego podpisania | Tylko systemy zdalnej identyfikacji biometrycznej (załącznik III, punkt 1) |
| Kto może nazywać się audytorem AI | Tylko posiadacz stanowego numeru rejestracyjnego, od 1 stycznia 2029 roku | Nie istnieje żaden rejestr ani kwalifikacja dla tej roli |
| Zasady niezależności dla audytorów | 12-miesięczny okres karencji, brak samooceny, ochrona sygnalistów, skierowanie do prokuratora generalnego | Zasady akredytacji dla jednostek notyfikowanych, stosowane tylko w wąskim obowiązkowym przypadku |
| Pierwszy termin zgodności | 1 stycznia 2028 roku (kryteria wyznaczania organizacji) | Zasady wyznaczania jednostek notyfikowanych już obowiązują |
Co to oznacza dla sprzedających usługi zgodności do Kalifornii
Dla europejskiej lub brytyjskiej firmy zajmującej się zgodnością, audytem lub doradztwem w zakresie ryzyka, otwiera to niszę rynkową, której jeszcze nigdzie indziej nie ma. Każda firma, która chce oferować usługi audytu AI klientowi działającemu w Kalifornii, będzie potrzebować przynajmniej jednej zarejestrowanej osoby w zespole do 2029 roku, podobnie jak europejscy audytorzy potrzebowali kiedyś osobnej amerykańskiej kwalifikacji, by zatwierdzać księgi firmy notowanej na amerykańskiej giełdzie. Dziś nikt w UE nie posiada równoważnej kalifornijskiej kwalifikacji, co oznacza, że firmy, które zarejestrują się wcześnie, jako pierwsze połączą znajomość AI Act UE z kalifornijskim numerem rejestracyjnym w tej samej praktyce.
To także wskazuje, dokąd mogą zmierzać własne przepisy UE. Obowiązkowa ocena strony trzeciej z AI Act obejmuje dziś tylko systemy zdalnej identyfikacji biometrycznej; niemal każdy inny system AI wysokiego ryzyka w UE może nadal samodzielnie się certyfikować poprzez kontrolę wewnętrzną, bez konieczności zbadania go przez zewnętrznego audytora. Kalifornia właśnie zbudowała infrastrukturę licencjonowania i niezależności, której potrzebowałby szerszy obowiązek audytu, choć jeszcze tego obowiązku nie napisała. Gdyby Bruksela kiedykolwiek zdecydowała się rozszerzyć własny wymóg weryfikacji przez stronę trzecią, zawód, który musiałaby uregulować, ma już działający wzorzec, spisany w Sacramento, nie w Brukseli.
Servola Journal
Robimy to dla wszystkich, którzy starają się nadążyć za tym, co technologia robi z naszym życiem. Dla ludzi, którzy ją budują, i dla ludzi, którym się to przydarza. Servola Journal istnieje, aby to, czego się uczymy, należało do nich wszystkich.
Nikt nam za to nie płaci. Żadnych reklam, żadnego muru płatności, za darmo dla wszystkich. Po prostu wierzymy, że zrozumienie tego, co dzieje się z nami wszystkimi, nie powinno zależeć od tego, kogo stać na zapłacenie za to.
Jeśli to dało ci dziś coś, powiedz nam, żebyśmy kontynuowali. Obserwuj nas, zostaw polubienie, albo napisz pozytywny komentarz. Czytamy każdy jeden, i to oni sprawiają, że działamy dalej.
Czytaj dalej: UE właśnie przesunęła wasz termin AI Act o 16 miesięcy | Bruksela właśnie przetestowała swoje nowe uprawnienie na 30 firmach AI
